yanxizhen
驱动牛犊
驱动牛犊
  • 注册日期2006-02-21
  • 最后登录2011-08-29
  • 粉丝0
  • 关注0
  • 积分2分
  • 威望32点
  • 贡献值0点
  • 好评度20点
  • 原创分0分
  • 专家分0分
阅读:2475回复:11

还有谁这样使用驱动的

楼主#
更多 发布于:2007-09-15 08:40
偶在自己的DriverEntry里用MmAllocateXXXXXXX开了块内存,然后把驱动拷贝到里面,Unload驱动.
这样偶滴rootkit就只存活在内存中了
不过目前只是实现了很简单的功能,纯粹是试验目的
不知道有没有人这样做过
z.b.Azy
驱动牛犊
驱动牛犊
  • 注册日期2006-03-11
  • 最后登录2013-04-29
  • 粉丝0
  • 关注0
  • 积分263分
  • 威望95点
  • 贡献值0点
  • 好评度91点
  • 原创分2分
  • 专家分0分
沙发#
发布于:2007-09-15 10:23
有.....貌似不少....
WQXNETQIQI
驱动大牛
驱动大牛
  • 注册日期2006-06-12
  • 最后登录2010-10-26
  • 粉丝0
  • 关注0
  • 积分13分
  • 威望1076点
  • 贡献值0点
  • 好评度895点
  • 原创分1分
  • 专家分0分
板凳#
发布于:2007-09-15 11:24
多了,,不过XX要自己定位,,而且这样也会被rootkit unhooker之类的玩意发现的 呵呵
驱动开发者 呵呵
yanxizhen
驱动牛犊
驱动牛犊
  • 注册日期2006-02-21
  • 最后登录2011-08-29
  • 粉丝0
  • 关注0
  • 积分2分
  • 威望32点
  • 贡献值0点
  • 好评度20点
  • 原创分0分
  • 专家分0分
地板#
发布于:2007-09-15 12:00
引用第2楼WQXNETQIQI于2007-09-15 11:24发表的  :
多了,,不过XX要自己定位,,而且这样也会被rootkit unhooker之类的玩意发现的 呵呵


嗯,reloc累死
rku蛮不错的
killvxk
论坛版主
论坛版主
  • 注册日期2005-10-03
  • 最后登录2014-04-14
  • 粉丝3
  • 关注1
  • 积分1082分
  • 威望2003点
  • 贡献值0点
  • 好评度1693点
  • 原创分2分
  • 专家分0分
地下室#
发布于:2007-09-15 12:37
引用第2楼WQXNETQIQI于2007-09-15 11:24发表的  :
多了,,不过XX要自己定位,,而且这样也会被rootkit unhooker之类的玩意发现的 呵呵



我实现了套专门干这个库~重定位可以交给库来~~

不过最近17大,还是避免腥风血雨不放了,不过有兴趣的关注rootkit.com吧,我和白远方准备扔几个rootkit的xxx上去~
没有战争就没有进步 X3工作组 为您提供最好的军火
yanxizhen
驱动牛犊
驱动牛犊
  • 注册日期2006-02-21
  • 最后登录2011-08-29
  • 粉丝0
  • 关注0
  • 积分2分
  • 威望32点
  • 贡献值0点
  • 好评度20点
  • 原创分0分
  • 专家分0分
5楼#
发布于:2007-09-15 12:42
引用第4楼killvxk于2007-09-15 12:37发表的  :



我实现了套专门干这个库~重定位可以交给库来~~

.......

哈哈,不知道老外会不会和谐
z.b.Azy
驱动牛犊
驱动牛犊
  • 注册日期2006-03-11
  • 最后登录2013-04-29
  • 粉丝0
  • 关注0
  • 积分263分
  • 威望95点
  • 贡献值0点
  • 好评度91点
  • 原创分2分
  • 专家分0分
6楼#
发布于:2007-09-15 12:56
引用第4楼killvxk于2007-09-15 12:37发表的  :



我实现了套专门干这个库~重定位可以交给库来~~

.......

几个不够, 扔他几十个上去~
killvxk
论坛版主
论坛版主
  • 注册日期2005-10-03
  • 最后登录2014-04-14
  • 粉丝3
  • 关注1
  • 积分1082分
  • 威望2003点
  • 贡献值0点
  • 好评度1693点
  • 原创分2分
  • 专家分0分
7楼#
发布于:2007-09-15 15:43
引用第6楼z.b.Azy于2007-09-15 12:56发表的  :

几个不够, 扔他几十个上去~


我准备洗白,不搞邪恶的东西了~
没有战争就没有进步 X3工作组 为您提供最好的军火
wowocock
VIP专家组
VIP专家组
  • 注册日期2002-04-08
  • 最后登录2016-01-09
  • 粉丝16
  • 关注2
  • 积分601分
  • 威望1651点
  • 贡献值1点
  • 好评度1227点
  • 原创分1分
  • 专家分0分
8楼#
发布于:2007-09-15 16:13
你的方法只能在老式CPU上运行,现代CPU都NX执行保护,内存必须上可执行的,直接分配处理可能有问题,而通过检测可执行内存来发现异常,加上以后的VMM虚拟化,除非你自己也能进入RING -1层,不然以RING 0 对付RING -1恐怕是负多胜少。
花开了,然后又会凋零,星星是璀璨的,可那光芒也会消失。在这样 一瞬间,人降生了,笑者,哭着,战斗,伤害,喜悦,悲伤憎恶,爱。一切都只是刹那间的邂逅,而最后都要归入死亡的永眠
zjjmj2002
驱动小牛
驱动小牛
  • 注册日期2007-04-05
  • 最后登录2016-01-09
  • 粉丝0
  • 关注0
  • 积分15分
  • 威望321点
  • 贡献值0点
  • 好评度224点
  • 原创分1分
  • 专家分0分
9楼#
发布于:2007-09-16 10:50
ntoskrnl.exe里好像有些空地。
qq_10652
驱动牛犊
驱动牛犊
  • 注册日期2004-11-11
  • 最后登录2008-07-04
  • 粉丝0
  • 关注0
  • 积分560分
  • 威望57点
  • 贡献值0点
  • 好评度57点
  • 原创分0分
  • 专家分0分
10楼#
发布于:2007-09-17 01:07
ring0好象要比ring1高吧
yykingking
驱动牛犊
驱动牛犊
  • 注册日期2006-08-22
  • 最后登录2010-07-02
  • 粉丝0
  • 关注0
  • 积分-20分
  • 威望44点
  • 贡献值0点
  • 好评度53点
  • 原创分1分
  • 专家分0分
11楼#
发布于:2007-09-18 10:54
NE365上有一个老V前几天放出来的东西~

大家可以去看看
游客

返回顶部